日本首相高市早苗示警 PHP 重大漏洞，可免登入遠端執行程式碼
PHP 官方 10 月 21 日發布安全公告，修補兩個可讓攻擊者不需登入就遠端執行程式碼的重大漏洞，呼籲所有 PHP 使用者立即更新。日本首相高市早苗同一天晚間在 X 發文，以「大至急のお願い」為題，請網站業者確認是否使用 PHP，並在當晚修補釋出後盡快套用，來不及修補的話，暫時停止網站也是降低風險的有效做法之一。
OpenAI 同日表示，資安公司 Calif 在 OpenAI 的 Patch the Planet 計畫中，用 GPT-5.6 Sol 找到其中一個漏洞，雲端資安公司 Wiz 也獨立發現並通報這兩個漏洞；OpenAI 過去兩個月帶領維護者與資安業者準備修補。
兩個漏洞都能免登入遠端執行程式碼，修補版本已釋出
依 PHP 官方公告，修補版本為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。第一個漏洞 CVE-2026-109618 出在記憶體不足的處理流程，PHP 可能在請求資料只初始化一部分時被中斷，後續清理時又把無效資料當成有效資料。第二個漏洞 CVE-2026-109619 則是請求使用的內部狀態，在記憶體已釋放後仍殘留，同一個工作程序處理下一個請求時可能用到這些過期狀態。
廣告 - 內文未完請往下捲動
官方表示，各 Linux 發行版與長期支援業者已事先拿到修補，使用者可以向供應商確認更新套件。PHP 8.1 以前的版本已不再由官方更新，但考量漏洞嚴重性，PHP 安全團隊仍替 7.4、8.0 與 8.1 提供原始碼層級的修補，給自行編譯或沒有長期支援廠商的使用者。
官方：無法立即更新只能降低部分風險，更新是唯一完整解法
對暫時無法更新的使用者，PHP 官方列出幾項設定調整，例如針對第一個漏洞把 memory_limit 設為不限制、調低 post_max_size，針對第二個漏洞關閉 session.upload_progress.enabled 並重啟所有工作程序。不過官方強調，這些措施只能減少特定攻擊路徑的曝險，不能讓系統變得安全，「更新是唯一安全的選擇」。
官方也提醒，依賴志工維護的套件庫 rpms.remirepo.net 的使用者，當天不會有更新，建議改用發行版套件或自行從原始碼編譯。
高市早苗：今晚修補，日本國家網路統括室同步發布資訊
高市早苗在日本時間 21 日晚間 9 點 55 分發文，提醒修補預定在日本時間當晚 11 點（台灣時間晚間 10 點）公開，並請業者參考日本國家網路統括室（NCO）注意與警戒資訊帳號的相關公告。
依網路技術調查網站 W3Techs 10 月的統計，在可辨識伺服器端程式語言的網站中，69.3% 使用 PHP，其中 65.2% 使用 PHP 8 版。WordPress 等常見網站系統也是以 PHP 撰寫，網站管理者可以先確認主機的 PHP 版本，再依供應商或官方指引更新。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
